IEでjavascriptが開ける環境でのHTMLインジェクションが却下された

www.toyota.comでjsonpしてる処理で特殊文字がエスケープされていなくてX-Content-Type-Options: nosniffも指定されてなくて
IEでimgタグ埋め込めるよーってスクリーンショットも付けたんだけど
やっぱりダメだった。
いまのIE11はパスを細工してもhtmlとして開くことはできないのか、、、